360天擎

定义

360天擎是一种部署在企业内部网络中的终端安全管理系统，正式名称为 360 天擎终端安全管理系统，简称天擎。它面向政府、军队、金融、制造业、医疗、教育等大型企事业单位，把病毒防护与终端运维管控放在同一套体系中，同时提供可视化的管理界面^[1]。

360 天擎由两层组成。服务器端的控制中心是系统核心，采用 B/S 架构，管理员通过浏览器即可访问，负责设备分组、策略下发、健康状况监测、统一杀毒、统一漏洞修复、流量管理和资产登记等工作；部署在服务器或个人电脑上的客户端则执行实际的木马病毒查杀与漏洞修复，并与控制中心通信上报数据^[1]。

原理

360 天擎的工作方式是集中下发策略、终端分别执行、结果汇总回传。控制中心保存管理员设定的安全策略，客户端按策略执行体检、杀毒和漏洞修复，并把漏洞修复情况、病毒木马情况、危险项以及软硬件配置等信息上报，形成全网安全态势视图^[1]。

查杀环节依靠多引擎协同。云查杀引擎依托云端样本库对文件进行信誉判定；AVE 引擎又称启发式引擎，属于本地引擎，主要针对 PE 文件查杀蠕虫等感染型病毒并尝试修复文件；QEX 引擎又称脚本查杀引擎，用于查杀脚本型病毒和宏病毒；QVM 引擎则是依托海量样本进行机器学习的人工智能查杀引擎，用于识别病毒变种^[2]。

对于无法直接判定的灰文件，主动防御机制按来源区别处理：来自移动存储的直接拦截，来自网络或即时通讯工具的则先监控，出现进一步动作时再触发查杀^[2]。系统还采用基于白名单的「非白即黑」策略，只允许受信任的程序运行^[3]。

在补丁管理上，控制中心先扫描全网终端操作系统与应用程序漏洞，再按需分发补丁，并支持错峰下发和分发流量控制，以减少同一补丁被反复下载造成的带宽占用；系统还设有蓝屏修复机制以应对补丁安装异常^[2]。

发展历程

天擎由北京奇虎科技有限公司推出，早期定位即是为企事业单位解决终端安全与统一管理需求^[1]。2013 年 11 月，在中国信息主管年会上，360 天擎获得「2013 年中国政府行业最佳产品创新奖」，当时已在商务部、水利部、内蒙古公安厅、云南检察院等近万家政府单位部署^[4]。

2014 年 1 月，360 天擎经检测获得长庆油田采购，用于网络管理与信息安全防护；据当时披露，360 企业安全产品已获商务部、工信部、公安部和多省公检法机关及大型企业采用，企业客户数突破百万^[5]。同期的公开信息显示，天擎还曾在中央党校、云南省国家税务局等单位部署^[6]。

此后产品持续迭代至 6.0 版本，采购文件显示该版本包含防病毒、补丁管理、运维管控、移动存储管理等功能，并可扩展终端安全响应相关授权^[7]。2020 年 6 月，中国核工业集团公司总部就 360 天擎终端安全管理系统发布维保及扩容服务技术规范书，涉及商用网实体机、商用网虚拟机和互联网三类环境的一年维保^[8]。

应用

天擎主要部署在对信息安全管理有集中要求的单位内网。政府部门通常采用内外网隔离的方式运行重要业务，因此该系统提供隔离网环境支持和离线升级工具，以解决隔离环境中程序与病毒库的同步更新问题^[4]。

在防护之外，天擎还承担运维管控职能，包括应用程序识别与控制、非法外联控制、外设使用控制、账号密码安全检测和本地安全策略加固等^[9]。网络准入方面，系统支持旁路镜像应用准入、802.1x 认证、Portal 认证等多种方式，对不满足安全检查要求的终端不予接入，并引导其进入修复区^[9]。

资产管理是另一类常见用途。系统可展示全网终端的 CPU、内存、主板、硬盘、网卡、显卡、USB 接口等硬件配置，跟踪硬件新增与丢失等变更记录，并对 USB 存储设备设置可读写、只读或禁用权限^[1]。补丁与漏洞修复方面，系统支持集中修复、强制修复和自动修复，并可智能屏蔽过期补丁或与操作系统不兼容的补丁^[10]。

在整体防御体系中，天擎可与 360 天眼威胁感知系统联动：天眼在网络边界检测到攻击后发出报警并把信息推送给终端上的天擎，天擎依据文件名和五元组信息阻断或隔离相应文件，再把处理结果反馈回去，形成「边界发现、终端防御」的闭环^[1]。此外，360 还推出过面向虚拟化环境的版本，采用轻代理模式，支持多种主流虚拟化平台^[11]。

局限

云查杀依赖与云端的连接。隔离网或半隔离网中的终端无法直接访问公有云查杀服务，需要改用私有云引擎或离线升级工具，其可用样本规模受本地设备型号限制^[2]。

补丁下发本身会带来副作用。公开资料指出，终端用户缺乏打补丁习惯，而打完补丁后应用程序可能无法启动、处理速度下降，或在工作未保存时强制重启，因此系统需要配套的强制修复与蓝屏修复机制加以缓解^[2]。

客户端的跨平台覆盖范围也有限度。采购文件显示，控制中心与客户端在不同时期对操作系统版本有明确要求，服务器端与个人端支持的平台并不完全一致，国产操作系统与苹果系统的支持情况还需按版本区分。这些限制意味着系统所宣称的全网统一防护，仍以终端纳入支持范围为前提。

参见

• 360天眼 —— 与天擎联动的边界威胁感知系统，用于检测网络攻击行为并推送告警。

• QVM引擎 —— 天擎所采用的人工智能查杀引擎，依托样本学习识别病毒变种。

• APT攻击 —— 天擎声明可防御的高级持续性威胁类型。

• 终端安全检测与响应 —— 面向终端的检测与响应技术，属于同类终端安全能力。

• 网络准入控制 —— 天擎用于限制不合规终端入网的技术手段。